Aufsichtspflichtverletzung

Kurzdefinition: Eine Aufsichtspflichtverletzung nach § 130 OWiG begeht der Inhaber eines Betriebs oder Unternehmens — und über § 9 OWiG die für ihn handelnden Leitungspersonen —, wenn er die erforderlichen Aufsichtsmaßnahmen unterlässt und deshalb eine straf- oder bußgeldbewehrte Inhaberpflicht verletzt wird. Die Norm sanktioniert nicht die Zuwiderhandlung selbst, sondern das Versäumen der gebotenen Aufsicht — vorsätzlich wie fahrlässig. [N-OWiG-130] [N-OWiG-9]

Der Normwortlaut

§ 130 Abs. 1 OWiG lautet amtlich: „Wer als Inhaber eines Betriebes oder Unternehmens vorsätzlich oder fahrlässig die Aufsichtsmaßnahmen unterläßt, die erforderlich sind, um in dem Betrieb oder Unternehmen Zuwiderhandlungen gegen Pflichten zu verhindern, die den Inhaber treffen und deren Verletzung mit Strafe oder Geldbuße bedroht ist, handelt ordnungswidrig, wenn eine solche Zuwiderhandlung begangen wird, die durch gehörige Aufsicht verhindert oder wesentlich erschwert worden wäre. Zu den erforderlichen Aufsichtsmaßnahmen gehören auch die Bestellung, sorgfältige Auswahl und Überwachung von Aufsichtspersonen.“ [N-OWiG-130]

Welche Voraussetzungen hat § 130 OWiG?

Vier, die alle vorliegen müssen. Erstens muss eine erforderliche Aufsichtsmaßnahme unterlassen worden sein — vorsätzlich oder fahrlässig. Zweitens muss die zu verhindernde Pflicht den Inhaber treffen und ihre Verletzung mit Strafe oder Geldbuße bedroht sein; eine unbewehrte oder rein vertragliche Pflicht genügt nicht. Drittens muss die Zuwiderhandlung tatsächlich begangen worden sein. Viertens hätte gehörige Aufsicht sie verhindert oder wesentlich erschwert — es ist also nicht nötig, dass sie die Tat sicher verhindert hätte. [N-OWiG-130]

Wen trifft die Aufsichtspflicht?

Den Inhaber des Betriebs oder Unternehmens — und über § 9 OWiG die Personen, die für ihn handeln. Nach § 9 Abs. 1 OWiG sind das vertretungsberechtigte Organe und deren Mitglieder, vertretungsberechtigte Gesellschafter rechtsfähiger Personengesellschaften sowie gesetzliche Vertreter. Nach § 9 Abs. 2 OWiG treten Beauftragte hinzu, die den Betrieb ganz oder zum Teil leiten oder ausdrücklich Inhaberaufgaben in eigener Verantwortung wahrnehmen. Die Pflicht trifft damit benannte Personen, nicht abstrakt das Unternehmen. [N-OWiG-9]

Entlastet die Delegation an Fachleute?

Nicht automatisch. § 130 Abs. 1 Satz 2 OWiG zählt die Bestellung, die sorgfältige Auswahl und die Überwachung von Aufsichtspersonen ausdrücklich zu den erforderlichen Aufsichtsmaßnahmen. Delegation verlagert die Ausführung, nicht die Aufsicht. Wer eine Aufsichtsperson bestellt, sie aber weder sorgfältig auswählt noch überwacht, verletzt seine Aufsichtspflicht gerade dadurch. [N-OWiG-130]

Wie hoch ist die Geldbuße wirklich?

Das hängt daran, wie die zugrunde liegende Pflichtverletzung bewehrt ist — die verbreitete Zahl „bis zu einer Million Euro“ ist nur der halbe Satz. Ist die Pflichtverletzung mit Strafe bedroht, beträgt das Höchstmaß nach § 130 Abs. 3 Satz 1 OWiG eine Million Euro. § 130 Abs. 3 Satz 2 OWiG erklärt dazu § 30 Abs. 2 Satz 3 OWiG für anwendbar; daraus folgt jedoch keine automatische Verzehnfachung jeder persönlichen § 130-Geldbuße — sie greift nur, soweit ein Gesetz ausdrücklich auf jene Vorschrift verweist. Ist die Pflichtverletzung dagegen mit Geldbuße bedroht, bestimmt sich das Höchstmaß nach § 130 Abs. 3 Satz 3 OWiG nach dem für die Pflichtverletzung angedrohten Höchstmaß der Geldbuße. Satz 4 erweitert diese Brücke auf Pflichtverletzungen, die zugleich mit Strafe und Geldbuße bedroht sind, wenn das angedrohte Bußgeld-Höchstmaß jenes des Satzes 1 übersteigt. [N-OWiG-130] [N-OWiG-30]

Was bedeutet das im Cyber-Kontext konkret?

Zuerst eine Vorprüfung, die häufig übersprungen wird: Nicht jede BSIG-Pflicht ist ohne Weiteres eine Inhaberpflicht im Sinne des § 130 OWiG. Für die konkrete Pflicht ist zu klären, ob sie den Betriebs- oder Unternehmensinhaber trifft und ob ihre Verletzung mit Strafe oder Geldbuße bedroht ist. Ist das zu bejahen, gilt: Verstöße gegen § 30 Abs. 1 Satz 1 BSIG (Risikomanagementmaßnahmen) und § 32 Abs. 1 Satz 1 BSIG (Meldepflicht) sind über § 65 Abs. 2 Nr. 2 und Nr. 4 BSIG bußgeldbewehrt — nicht strafbewehrt. Ausgangsnorm für das personenbezogene Höchstmaß ist damit § 130 Abs. 3 Satz 3 OWiG. Nach textlich naheliegender Lesart knüpft es an das Höchstmaß der zugrunde liegenden § 65-BSIG-Zuwiderhandlung an — etwa an die zehn Millionen Euro bei Verstößen gegen § 30 BSIG in besonders wichtigen Einrichtungen (§ 65 Abs. 5 Nr. 1 Buchst. a BSIG). Für Einrichtungen mit einem Gesamtumsatz von mehr als 500 Millionen Euro sehen § 65 Abs. 6 und 7 BSIG für bestimmte Tatbestände abweichend eine umsatzbezogene Stufe vor. Ob und in welcher Weise diese einrichtungs- und tatbestandsbezogenen Stufen des § 65 Abs. 5 bis 7 BSIG im personenbezogenen § 130-Verfahren durchgreifen, ist mangels gefestigter Linie im konkreten Verfahren zu begründen. Bei nur fahrlässiger Aufsichtspflichtverletzung ist zusätzlich § 17 Abs. 2 OWiG zu prüfen; § 65 Abs. 9 BSIG schaltet diese Halbierungsregel amtlich nur für bestimmte institutionelle § 65-Fälle aus, nicht ausdrücklich für das persönliche § 130-Verfahren. [N-BSIG-30] [N-BSIG-32] [N-BSIG-65] [N-OWiG-130] [N-OWiG-17]

Wie hängt § 130 OWiG mit der Verbandsgeldbuße zusammen?

Über § 30 OWiG. Begeht eine Leitungsperson im Sinne des § 30 Abs. 1 OWiG — vertretungsberechtigtes Organ, vertretungsberechtigter Gesellschafter, Generalbevollmächtigter, leitender Prokurist oder eine sonst für die Leitung verantwortlich handelnde Person — eine Ordnungswidrigkeit, durch die Pflichten des Unternehmens verletzt werden, so kann gegen das Unternehmen selbst eine Geldbuße festgesetzt werden. Die Aufsichtspflichtverletzung nach § 130 OWiG kann eine solche Anknüpfungstat sein. Ein Automatismus ist das nicht: Zusätzlich müssen die Voraussetzungen des § 30 OWiG vorliegen — die handelnde Person muss Leitungsperson im Sinne des Absatzes 1 sein, durch die Tat müssen Pflichten der juristischen Person verletzt oder diese bereichert worden sein, und die Festsetzung der Geldbuße steht im Ermessen der Behörde („kann“). Personenbuße und Verbandsgeldbuße bleiben zwei getrennte Ebenen. [N-OWiG-30] [N-OWiG-130]

Steht § 130 OWiG neben oder hinter dem BSIG?

Daneben — und § 130 OWiG ist nicht der einzige personenbezogene Weg. Zu trennen sind zwei Schienen: Begeht eine natürliche Person als Organ, Vertreter oder Beauftragter selbst eine Zuwiderhandlung nach § 65 BSIG, läuft dies unmittelbar über § 65 BSIG in Verbindung mit § 9 OWiG. § 130 OWiG erfasst dagegen nicht die Primärzuwiderhandlung, sondern das Unterlassen der erforderlichen Aufsicht. Beide Schienen stehen neben den institutionellen Rahmen des § 65 BSIG. § 130 OWiG ist kein Ersatzrecht für den Fall, dass die spezialgesetzliche Aufsicht versagt, sondern eine eigenständige Sanktionsebene. [N-BSIG-65] [N-OWiG-130] [N-OWiG-9]

Gibt es eine Beweislastumkehr?

Nein. Für das Bußgeldverfahren gelten nach § 46 Abs. 1 OWiG sinngemäß die Vorschriften über das Strafverfahren; die Verfolgungsbehörde muss die Aufsichtspflichtverletzung nachweisen. Das unterscheidet § 130 OWiG von der gesellschaftsrechtlichen Innenhaftung, in der § 93 Abs. 2 Satz 2 AktG dem Organmitglied den Sorgfaltsnachweis auferlegt. Dokumentation wirkt hier als Beweismittel — sie kehrt keine Beweislast um. [N-OWiG-46] [N-AktG-93]

Häufige Fehlannahmen

• „Ich habe delegiert, also haftet der Bereichsleiter.“ Delegation verlagert die Ausführung, nicht die Aufsicht. § 130 Abs. 1 Satz 2 OWiG verlangt Bestellung, sorgfältige Auswahl und Überwachung. [N-OWiG-130]
• „Wenn man mir die Tat nicht nachweisen kann, greift § 130 erst recht.“ Umgekehrt: Die Zuwiderhandlung muss feststehen, denn § 130 OWiG setzt voraus, dass eine solche Zuwiderhandlung begangen wird. Nicht nachgewiesen werden muss die persönliche Beteiligung der Leitung an ihr. [N-OWiG-130]
• „Höchstens eine Million Euro.“ Nur bei strafbewehrter Anknüpfungstat. Bei bußgeldbewehrter Pflichtverletzung folgt das Höchstmaß dem für sie angedrohten Bußgeldrahmen, der bei BSIG-Grundpflichten deutlich höher liegt. Ob die institutionellen Stufen des § 65 Abs. 5 bis 7 BSIG im persönlichen Verfahren durchgreifen, ist im Einzelfall zu begründen. [N-OWiG-130] [N-BSIG-65]
• „§ 130 OWiG ist die Geschäftsleitungs-Haftung.“ Der direkte Sprung ist unzulässig. § 130 OWiG sanktioniert den Inhaber-Begriff; die persönliche Zurechnung läuft über § 9 OWiG, das Höchstmaß tatbestandsabhängig über Absatz 3. [N-OWiG-9] [N-OWiG-130]
• „§ 30 Abs. 2 Satz 3 OWiG verzehnfacht meine Buße automatisch.“ Nein. Eine automatische Verzehnfachung jeder persönlichen § 130-Geldbuße besteht nicht. [N-OWiG-30]
• „Cyber ist im BSIG geregelt, das OWiG ist daneben irrelevant.“ § 130 OWiG steht selbständig neben § 65 BSIG; beide Ebenen können nebeneinander greifen. [N-OWiG-130] [N-BSIG-65]
• „Gute Dokumentation dreht die Beweislast.“ Im Bußgeldverfahren gibt es keine Beweislastumkehr. Dokumentation überzeugt als Beweismittel, sie kehrt nichts um. [N-OWiG-46]

Was die Geschäftsleitung tun sollte

1. Bewehrte Inhaberpflichten inventarisieren. Zwei Fragen je Pflicht: Trifft sie den Betriebs- oder Unternehmensinhaber? Und ist ihre Verletzung mit Strafe oder Geldbuße bedroht? Nur dann taugt sie als Anknüpfungstat. Im Cyber-Bereich sind das vor allem die über § 65 BSIG bewehrten Pflichten aus § 30 und § 32 BSIG. [N-BSIG-65] [N-OWiG-130]
2. Aufsicht organisieren, nicht nur Verantwortung verteilen. Aufsichtspersonen bestellen, sorgfältig auswählen und ihre Tätigkeit überwachen — alle drei Schritte nennt das Gesetz. [N-OWiG-130]
3. Kontrolle real durchführen. Stichproben, Berichtswege und Eskalationspfade, die tatsächlich benutzt werden. Eine Aufsicht, die nur auf dem Papier steht, ist keine.
4. Feststellungen nachhalten. Auffälligkeiten müssen die Leitungsebene erreichen, und die Reaktion muss dokumentiert sein.
5. Früh eskalieren. Bei konkretem Verdacht einer bewehrten Pflichtverletzung oder einem eingeleiteten Bußgeldverfahren rechtlichen Rat einholen, bevor aus einem Versäumnis ein Verfahren wird.

Für die Geschäftsleitung

Die Million ist nicht die Obergrenze: Knüpft die Aufsichtspflichtverletzung an eine bußgeldbewehrte BSIG-Pflicht an, richtet sich das Höchstmaß nach deren Bußgeldrahmen — der weit darüber liegen kann. Und wer Aufsichtspersonen bestellt, sie aber weder sorgfältig auswählt noch überwacht, verletzt § 130 OWiG genau dadurch.

Quellen

1. [N-OWiG-130] § 130 OWiG (Verletzung der Aufsichtspflicht in Betrieben und Unternehmen), Abs. 1 Satz 1 und 2, Abs. 3 Satz 1 bis 4. Geltende Fassung, Stand 9. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/owig_1968/__130.html
2. [N-OWiG-30] § 30 OWiG (Geldbuße gegen juristische Personen und Personenvereinigungen), Abs. 1 Nr. 1 bis 5, Abs. 2 Satz 3. Geltende Fassung, Stand 9. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/owig_1968/__30.html
3. [N-OWiG-9] § 9 OWiG (Handeln für einen anderen), Abs. 1 und Abs. 2. Geltende Fassung, Stand 9. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/owig_1968/__9.html
4. [N-OWiG-46] § 46 OWiG (Anwendung der Vorschriften über das Strafverfahren), Abs. 1. Geltende Fassung, Stand 9. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/owig_1968/__46.html
5. [N-BSIG-30] § 30 BSIG (Risikomanagementmaßnahmen), Abs. 1 Satz 1. Geltende Fassung, Stand 9. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/bsig_2025/__30.html
6. [N-BSIG-32] § 32 BSIG (Meldepflichten), Abs. 1 Satz 1. Geltende Fassung, Stand 9. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/bsig_2025/__32.html
7. [N-BSIG-65] § 65 BSIG (Bußgeldvorschriften), Abs. 2 Nr. 2 und Nr. 4, Abs. 5 Nr. 1 Buchst. a und b, Abs. 9. Geltende Fassung, Stand 9. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/bsig_2025/__65.html
8. [N-OWiG-17] § 17 OWiG (Höhe der Geldbuße), Abs. 2 — Halbierung des Höchstmaßes bei fahrlässigem Handeln. Geltende Fassung, Stand 9. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/owig_1968/__17.html
9. [N-AktG-93] § 93 AktG (Sorgfaltspflicht und Verantwortlichkeit der Vorstandsmitglieder), Abs. 2 Satz 2. Geltende Fassung, Stand 9. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/aktg/__93.html